Microsoft tildeler CVE til Snipping Tool-fejl, skubber patch til Store

Microsoft tildeler CVE til Snipping Tool-fejl, skubber patch til Store

Tidsstempel: 27. marts 2023 kl. 3
Kildeknude: 2546489
by Paul Ducklin

Sidste uge var aCropalypse uge, hvor en fejl i Google Pixel-billedbeskæringsappen skabte overskrifter, og ikke kun fordi den havde et funky navn.

(Vi dannede os den opfattelse, at navnet var en lille smule OTT, men vi indrømmer, at hvis vi selv havde tænkt på det, ville vi have ønsket at bruge det til dets ordlegeværdi alene, selvom det viser sig at være sværere at sige højt, end du måske tror.)

Fejlen var den slags programmeringsfejl, som enhver koder kunne have lavet, men som mange testere måske er gået glip af:

Billedbeskæringsværktøjer er meget praktiske, når du er på farten, og du vil dele et impulsbillede, måske involverer en kat, eller et underholdende skærmbillede, måske inklusive et skørt opslag på sociale medier eller en bizar annonce, der dukkede op på et websted .

Men hurtigt knipsede billeder eller hastigt greb skærmbilleder ender ofte med at inkludere bits, som du ikke ønsker, at andre skal se.

Nogle gange vil du beskære et billede, fordi det simpelthen ser bedre ud, når du skærer uvedkommende indhold af, såsom det graffiti-indsmurte busstoppested i venstre side.

Nogle gange ønsker du dog at redigere det af anstændighed, såsom at skære detaljer ud, der kan skade dit eget (eller andres) privatliv ved at afsløre din placering eller situation unødigt.

Det samme er tilfældet for skærmbilleder, hvor det uvedkommende indhold kan omfatte indholdet af din næste-dørs browserfane eller den private e-mail direkte under den morsomme, som du skal klippe ud for at forblive på den rigtige side af reglerne om beskyttelse af personlige oplysninger .

Vær opmærksom, før du deler

Enkelt sagt er en af ​​de primære grunde til at beskære billeder og skærmbilleder, før du sender dem ud, for at slippe af med indhold, du ikke vil dele.

Så, ligesom os, har du sikkert antaget, at hvis du huggede stykker ud af et billede eller skærmbillede og ramte [Save], så selvom appen førte en registrering af dine redigeringer, så du kunne gendanne dem senere og gendanne den nøjagtige original...

…de afskårne bits ville ikke være inkluderet i nogen kopier af den redigerede fil, som du valgte at sende online, e-maile til dine venner eller sende til en ven.

Google Pixel Markup-appen gjorde det dog ikke helt, hvilket førte til en fejl angivet CVE-2023-20136.

Når du gemte et ændret billede over det gamle og derefter åbnede det igen for at kontrollere dine ændringer, ville det nye billede blive vist i sin beskårne form, fordi de beskårne data ville blive skrevet korrekt over starten af ​​den tidligere version.

Enhver, der tester selve appen eller åbner billedet for at bekræfte, at det "så ud lige nu", ville se dets nye indhold og intet mere.

Men dataene skrevet i starten af ​​den gamle fil ville blive efterfulgt af en speciel intern markør for at sige: "Du kan stoppe nu; ignorere alle data herefter”, efterfulgt helt forkert af alle de data, der plejede at blive vist derefter i den gamle version af filen.

Så længe den nye fil var mindre end den gamle (og når du klipper kanterne af et billede, forventer du, at den nye version er mindre), ville i det mindste nogle bidder af det gamle billede undslippe i slutningen af ​​den nye fil .

Traditionelle, velopdragne billedfremvisere, inklusive selve det værktøj, du lige har brugt til at beskære filen, ville ignorere de ekstra data, men bevidst kodede datagendannelse eller snooping-apps vil måske ikke.

Pixelproblemer gentages andre steder

Googles buggy Pixel-telefoner blev tilsyneladende lappet i Android-opdateringen fra marts 2023, og selvom nogle Pixel-enheder modtog denne måneds opdateringer to uger senere end normalt, skulle alle Pixels nu være opdaterede, eller de kan tvinge-opdateres, hvis du udfører en manuel opdateringskontrol.

Men denne type fejl, nemlig at efterlade data i en gammel fil, som du overskriver ved en fejl, i stedet for at afkorte dets gamle indhold først, kunne i teorien forekomme i næsten enhver app med en [Save] funktion, især inklusiv andre apps til billedbeskæring og skærmbilledebeskæring.

Og det varede ikke længe før begge Windows 11 Klippeværktøj og Windows 10 Snip & sketch app blev fundet til har samme fejl:

Du kunne beskære en fil hurtigt og nemt, men hvis du gjorde en [Save] over den gamle fil og ikke en [Save As] til en ny fil, hvor der ikke ville være noget tidligere indhold at efterlade, ville en lignende skæbne vente dig.

Årsagerne på lavt niveau til fejlene er forskellige, ikke mindst fordi Googles software er en app i Java-stil og bruger Java-biblioteker, mens Microsofts apps er skrevet i C++ og bruger Windows-biblioteker, men de utætte bivirkninger er identiske.

Som vores ven og kollega Chester Wisniewski sarkastisk i sidste uges podcast, "Jeg formoder, at der kan være mange samtaler i august i Las Vegas, der diskuterer dette i andre ansøgninger." (August er sæsonen for Black Hat og DEF CON begivenhederne.)

Hvad skal jeg gøre?

Den gode nyhed for Windows-brugere er, at Microsoft nu har tildelt identifikatoren CVE-2023-28303 til dens egen smag af aCropalypse fejl, og har uploadet patchede versioner af de berørte apps til Microsoft Store.

I vores egen Windows 11 Enterprise Edition-installation viste Windows Update intet nyt eller patched, som vi havde brug for siden sidste uge, men manuelt opdatere Klippeværktøj app via Microsoft Store opdaterede os fra 11.2302.4.0 til 11.2302.20.0.

Vi er ikke sikre på, hvilket versionsnummer du vil se, hvis du åbner buggy Windows 10 Snip & sketch app, men efter opdatering fra Microsoft Store, bør du lede efter 10.2008.3001.0 eller senere.

Microsoft anser dette for en fejl med lav sværhedsgrad med den begrundelse, at "Vellykket udnyttelse kræver ualmindelig brugerinteraktion og flere faktorer uden for en angribers kontrol."

Vi er ikke sikre på, at vi er helt enige i den vurdering, for problemet er ikke, at en angriber kan narre dig til at beskære et billede for at stjæle dele af det. (De ville helt sikkert bare overtale dig til at sende dem hele filen uden besværet med at beskære den først?)

Problemet er, at du måske følger præcis den arbejdsgang, som Microsoft betragter som "ualmindelig" som en sikkerhedsforanstaltning, før du deler et billede eller skærmbillede, kun for at finde ud af, at du utilsigtet har lækket de data, du troede, du havde skåret ud i et offentligt rum.

Når alt kommer til alt er Microsoft Stores egen pitch for Klippeværktøj beskriver det som en hurtig måde at "gem, indsæt eller del med andre apps."

Med andre ord: Vent ikke, lapp det i dag.

Det tager kun et øjeblik.

Tidsstempel:

Mere fra Naked Security